@libregratis #4 并不是所有能自己装飞牛的都小白，我身边就有啥也不会按照小红书和 B 站自己装飞牛的，飞牛论坛也有利用 AI 来查杀这次 0DAY 直接把系统搞崩溃的，他们可以按照教程搭出来东西，但是他们不会去看具体的代码，之前有朋友问我要实现某个设置要怎样，我给他说了思路后对方直接就是一句“你能不能把代码直接发出来我复制就完了”，他们真的敢执行 rm -rf ，所以我有想有没有一个对他们友好的方案去保护自己。

一觉醒来，看到飞牛发公告了，但是这个公告真的很想让人说两句，不知道飞牛的公关团队或者技术人员能不能看到这个贴，但社区的声音真的很重要。

昨天我在其他帖子说了希望飞牛能尽快正面、正确的面对，能发重要公告去告知用户去升级，现在飞牛发了，让用户升级，让用户开启更加严格的安全策略。但飞牛公司你们作为一个软件驱动公司还是有好多东西没有正面的面对。

1.已经被挂马的用户：
如何让用户确定自己被挂马、对于被挂马的用户如何去清除木马？升级系统 不等于 清除木马，后面有小白用户升级到 1.1.18 ，但他之前已经被挂，他依旧会去论坛发帖求助，甚至有可能说出“1.1.18 并没有解决我的问题”这种话。

2.公网访问：
请问你这个公网访问包不包括“FN connect”，如果你的公网访问指的是用户的主机有 V4/V6 的公网直接访问，不含你的“FN connect”，那么请问那些没开 V4/V6 公网但是开了 FN connect 的用户怎么办？他们会不会理解成我只开了 FN connect 那公告里提到的安全访问方式与我无关？飞牛厂家明明知道这次 0day 包括 FN connect 也中招了，为何避而不谈？至少今天凌晨我还通过贵厂的 5ddd.com 能发现大量有洞的设备。FN connect 有白嫖用户也有付费用户，这次 0day 中招的用户中，对于没有公网 IP ，但是是 FN connect 的付费用户的怎么去赔付？

有洞正常，有洞不可怕，可怕的是在 1.1.15 的 updatelog 不写修复的洞。可怕的是当技术团本发现问题了虽不能马上修复这个漏洞，但竟然不发叫用户关闭公网、关闭 FN connect 的缓解方案。可怕的是“
社区热点问题处理进展 20260130”里面没有任何关于 0day 的正面回应。

请做好一个 NAS 该做的事，安全。

@a9htdkbv #61 感谢，如果是 1 月 22 日的版本发布已经修复，那我纠正我的说法，用户需要尽快更新到 1.1.15 ，而那些已经是 1.1.15 但之前被挂马的机器，是需要官方技术团本去帮用户解决木马的，毕竟用户使用你家的存储产品但因为漏洞而被入侵，这是你一个软件驱动的公司应该做的，大量的用户其实是没有能力手动清除那些马的，是需要官方出一个清除方案/专杀工具的。

不过也论证了一个事情，飞牛公司知晓自己的产品存在高危漏洞的情况下，不仅没有发出非常明显的公告让用户尽快升级，甚至还在修复版本的 updatlog 里不写这个漏洞，给人一种我不说就无人知晓的感觉。希望飞牛在黑客进行大规模数据劫持行为前能够正面、正确的面对这个事，对用户负责。

@lyz2754509784 #45 我搜了一下 1.1.15 发布时间是 1 月 22 日，updatelog 里没有提到修复这个 0day ，无论是飞牛轮胎还是一些社群网站如 nodeseek ，在本周内都有提到飞牛攻击的事，可以 Google 就出来的，包括昨晚凌晨我刷飞牛论坛也有人提到自己的 1.1.15 ，但是也出现 CPU 高占用/有大量连接/大流量等情况，并且现在社区的维护人员也提到让用户查询是否大量下载/上传任务，在 0day 贴里也有人提高到 dockermgr
https://i.imgur.com/VvadNde.png
https://i.imgur.com/RjqFgj7.png
https://i.imgur.com/0oZg6YX.png
https://i.imgur.com/4hCbJrF.png
https://i.imgur.com/7QLg2zi.png
https://i.imgur.com/UuQyp7w.png

这些图全是我截图的 里面部分时间为相对时间。

不同的用户技术水平不一样，不是所有人都有 OP 这种能力判断自己被当作肉鸡，能发现自己 CPU 负载异常/大量连接/流量大少之又少，所以如果我们把那些最近系统组件大范围停止工作、流量异常、CPU 负载的用户都认为是被 0day 攻击的话，那么至少可以得出 1 月 22 日发布的 1.1.15 是没有解决用户被肉鸡这个事，飞牛是否有推出新的小的修订号来修正 0day 目前不清楚，但是用一个“1.1.15 已修复”的说法是非常模糊的，甚至带有误导性，让有运行着 1 月 22 日版本的用户觉得是自己安全的。

目前社区看下来普遍还是当肉鸡，没有提到被劫持数据的案例，飞牛我印象中是没有磁盘加密功能的了，如果出些大面积的数据劫持那么这次 0day 对飞牛的打击是巨大的。

目前还未发现有说自己是非公网环境下中招的，不过至少能确定昨天的疑问，就是 mitm 并不是正确的回应。

希望飞牛能尽快解决漏洞并给出官方的说明报告吧。

在脱敏的情况下可以透露出更多技术细节么，目前 OP 说明的一些东西感觉和 mitm 关系不是很大，特别是 OP 提到的“安全人员反馈我收到的就是疑似中间人攻击，问题源自于 5666 的明文 http 注入”，如果厂家的某个技术真这样说，那么至少这句话在我这是个减分项（不是针对打工人，而是针对企业，安全事件反馈用户的内容是应该经过内部讨论后的严谨说明）。当然也有可能 OP 描述的和技术细节有一些偏差。

OP 有提到也有其他使用 FNOS 出现类似的问题，那么建议 OP 和飞牛讨论后再考虑是否公布技术细节，如果这是一个在野的 0day ，那么公布细节会增加漏洞的传播，这种情况下我们只能希望飞牛团队能尽快修复这个洞并后续能说明漏洞细节。

pok3r 11 年了 改的阳极氧化的底座都磨秃了

@chapiom #31 国行设备下载时候会请求 `services.googleapis.cn`和`xn--ngstr-lra8j.com` 这俩域名，这俩域名国内是可以直接访问的，所以有一种解法就是让这俩域名都走同一个代理节点，这样就可以正常下载了。因为现在的国产手机会硬编码 114DNS ，有时会遇到 DNS 污染，就开关下飞行模式。

@socoolted 感谢，测试后确实可行。感觉 oppo 的商店里的更新提示并不会提示 play store 有更新，且我在商店里更新 play store 后，商店里的更新记录也是没有。想问下还有哪些 APP 或者服务在 oppo 的商店需要手动搜索更新的呢，我目前发现还有一个 Google Play Services for AR

@MacsedProtoss @MacTavish123 定位导致送中这个事我知道，我自己就是 YouTube premium 用户，我自己也是不开定位使用的。我在主楼里更多的只是想告诉大家 GMS CN 我了解到的有哪些限制，毕竟有在海外生活/旅游的人可能会使用国行的设备，至于某些功能可能会涉及衍生的一些问题，我后面 append 说明下。

@qianxuu 我对比了下 同一个美区的 Google 账号右侧的 SONY 多了一个礼品卡选项 https://i.imgur.com/kQX3rwj.png

@chqome 恩，商店版本号这个，个人猜测会不会是某种特供分支什么的，如果搞懂具体原因，怕是只能期待有大厂的大佬出来科普下了。

@codehz 当初我在 vivo 的 originos 4 上提示时不兼容，而今年买的 X8U ，在 play store 更新的时候发现自带了 Android auto 。并且 XDA 上也找到了 vivo 的 CN 版本支持 Android auto 的消息 https://xdaforums.com/t/android-auto-in-vivo-x100-now.4680186/

@osilinka 我使用类原生 Android 这么多年都是关闭了手机定位功能，我自己也不使用这个功能，但是给大家介绍 GMS CN 的限制时我觉得我应该提到 GMS CN 不能打开这个功能，如果有 V 友在海外需要使用这个功能呢。

印象中除了似的是 shì,其余都是 sì 1809
https://i.imgur.com/15s51cF.png

@codehz #3 求关键字

这位产品经理,我只有一个请求,就是我在使用传统 P2P 软件的时候,能从迅雷客户端获取资源,闭环 P2P 真的恶心.

wpa 版 https://m.weibo.cn/beta